Schulung istkeine Kürmehr.
Mit der Umsetzung von NIS2 im BSIG gehören Schulungen zu den Maßnahmen, die ein betroffenes Unternehmen ergreifen muss. Für die Geschäftsleitung kommt eine eigene Pflicht hinzu, die sich nicht an die IT weiterreichen lässt.
Was die Pflicht in der Praxis bedeutet
Vier Punkte, die in der Diskussion regelmäßig untergehen.
Beschäftigte und Leitung sind getrennt geregelt
Schulungen für Beschäftigte gehören zu den Risikomanagementmaßnahmen nach § 30 BSIG. Für die Geschäftsleitung steht die Pflicht gesondert in § 38 BSIG.
Die Leitung kann sie nicht delegieren
Die Überwachung der Maßnahmen und die eigene Teilnahme an Schulungen liegen bei der Geschäftsleitung persönlich. Ein Auftrag an einen Dienstleister nimmt sie nicht heraus.
Ohne Nachweis ist die Pflicht nicht erfüllt
Entscheidend ist nicht die Absicht, sondern die Belegbarkeit. Wer nicht zeigen kann, wann was mit welchem Ergebnis geschult wurde, steht wie ohne Schulung da.
Einmalig genügt nicht
Die Anforderung zielt auf regelmäßige Schulung. Eine Einführungsveranstaltung bei Eintritt bildet das nicht ab.
Was am Ende auf dem Tisch liegt.
Eine Prüfung fragt nicht, ob geschult wurde, sondern womit, wann und mit welchem Ergebnis. Genau diese drei Angaben liefert der Bericht, getrennt für Beschäftigte und Leitung.
Getrennte Nachweise für Beschäftigte und Geschäftsleitung
Inhalte und Zeiträume nachvollziehbar
Entwicklung über mehrere Runden statt Momentaufnahme
Export für die Dokumentation des Risikomanagements
Wie Sie die Pflicht erfüllen
Drei Schritte, die den Nachweis gleich mitliefern.
1. Kreis festlegen
Beschäftigte nach Abteilungen und Rollen, die Geschäftsleitung als eigener Kreis mit eigenem Nachweis.
2. Programm laufen lassen
Schulungseinheiten und Simulationen laufen verteilt über das Jahr, statt in einem Termin gebündelt zu werden.
3. Nachweis ausleiten
Berichte je Zeitraum und Abteilung lassen sich ausleiten und in die Dokumentation des Risikomanagements übernehmen.
Was Sie am Ende in der Hand haben
Sechs Punkte, die eine Prüfung erwartet.
Getrennte Nachweise
Beschäftigte und Geschäftsleitung werden getrennt geführt, weil die Pflichten unterschiedlich begründet sind.
Zeitliche Abdeckung
Die Berichte zeigen, dass über das Jahr verteilt geschult wurde, und nicht nur an einem Stichtag.
Inhaltliche Zuordnung
Erkennbar bleibt, welche Inhalte vermittelt wurden, nicht nur dass ein Termin stattgefunden hat.
Wirkungsnachweis
Simulationsergebnisse über mehrere Runden belegen eine Entwicklung, die eine reine Teilnahmeliste nicht zeigen kann.
Auswertung auf Gruppenebene
Der Nachweis kommt ohne personenbezogene Ranglisten aus, was die Abstimmung im Haus erleichtert.
Export für die Dokumentation
Berichte lassen sich ausleiten und den übrigen Unterlagen des Risikomanagements beifügen.
Was ein Nachweis leisten muss
Anwesenheitsliste gegen belastbare Dokumentation.
Mit Conbool | Anwesenheitsliste | |
|---|---|---|
| Zeigt, wann geschult wurde | ja | ja |
| Zeigt, welche Inhalte vermittelt wurden | ja | meist nicht |
| Zeigt eine Entwicklung über die Zeit | ja | nein |
| Getrennter Nachweis für die Geschäftsleitung | ja | selten |
| Ohne personenbezogene Rangliste | ja | abhängig von der Führung |
Diese Seite ist keine Rechtsberatung. Ob und in welchem Umfang Ihr Unternehmen betroffen ist, richtet sich nach Sektor, Größe und den Regelungen des BSIG.
Häufige Fragen
Wer ist von der Schulungspflicht betroffen?
Warum wird die Geschäftsleitung getrennt genannt?
Wie oft muss geschult werden?
Ist eine Phishing-Simulation vorgeschrieben?
Reicht eine Unterweisung beim Eintritt?
Was ist mit dem Betriebsrat?
Verwandte Lösungen
Security Awareness Training
Schulung, die sich gegenueber einer Pruefung belegen laesst.
Phishing-Simulation
Den Ernstfall ueben, ohne Einzelne vorzufuehren.
Phishing-Schutz
Die technische Abwehr, bevor eine Nachricht den Menschen erreicht.
NIS-2 E-Mail-Sicherheit
Alle E-Mail-Anforderungen nach Paragraf 30 BSIG im Ueberblick.
Pflicht und Nachweis in einem Aufwasch
Wir richten das Programm für Beschäftigte und Leitung ein und zeigen, wie der Nachweis am Ende aussieht.